Comment fonctionne un filtre antispam ?
Une facture attendue atterrit dans les messages indésirables, tandis qu’une fausse notification de livraison arrive dans la boîte de réception. Ces situations illustrent le défi du filtre antispam : reconnaître les courriels utiles parmi des messages dont l’apparence peut être très proche. Pour y parvenir, il croise plusieurs indices sur l’expéditeur, le contenu et l’authentification du domaine. Sa décision dépend aussi des réglages de la messagerie.
Un filtrage fondé sur plusieurs indices
Le filtrage des e-mails peut intervenir sur les serveurs de messagerie, avant la distribution, puis dans le logiciel utilisé pour consulter les courriels. Certains contrôles commencent dès la connexion du serveur expéditeur ; d’autres nécessitent d’examiner le message complet.
De nombreux filtres attribuent des points aux éléments suspects et tiennent compte de signaux favorables. Le résultat est comparé à des seuils qui déterminent le traitement : distribution normale, classement dans les indésirables, mise en quarantaine ou rejet.
Un mot inhabituel suffit rarement à expliquer une décision. C’est généralement l’accumulation d’indices qui fait pencher le classement, même si certaines règles peuvent entraîner un blocage direct.
Les trois grands critères d’un filtre antispam
La réputation de l’expéditeur
Le filtre examine notamment l’adresse IP du serveur d’envoi et les domaines associés au courriel. Leur historique permet d’estimer le niveau de confiance à leur accorder.
Plusieurs éléments peuvent dégrader cette réputation :
- des signalements répétés de messages indésirables ;
- une présence sur des listes de blocage ;
- des envois associés à des campagnes malveillantes ;
- un comportement d’expédition inhabituel.
L’adresse affichée dans le champ « De » constitue donc une information parmi d’autres. Un nom familier peut être imité, et un compte authentique peut avoir été piraté.
La réputation explique aussi certaines erreurs. Sur une infrastructure mutualisée, plusieurs expéditeurs partagent une même adresse IP : les pratiques abusives de l’un peuvent pénaliser les courriels légitimes des autres.
Le contenu du message
Le filtre analyse l’objet, le texte, la structure du courriel et les liens qu’il contient. Selon la solution, il peut rechercher des formulations récurrentes, des ressemblances avec des campagnes déjà identifiées ou des adresses web connues pour leur dangerosité.
Un lien dont la destination diffère de l’adresse présentée au lecteur peut, par exemple, éveiller un soupçon. Une combinaison de promesses excessives, d’urgence et de liens suspects peut également augmenter le score.
Certains systèmes utilisent un apprentissage statistique : ils repèrent des caractéristiques fréquentes dans les messages précédemment classés comme indésirables ou légitimes. Leur efficacité dépend notamment de la qualité des exemples utilisés.
L’analyse antivirus complète ce travail en recherchant du contenu malveillant, notamment dans les pièces jointes. Les deux fonctions se complètent : une publicité non sollicitée peut être sans virus, tandis qu’un courriel apparemment ordinaire peut transporter un fichier dangereux.
L’authentification du domaine : SPF, DKIM et DMARC
Trois mécanismes aident le serveur destinataire à vérifier les informations techniques de l’expéditeur :
- SPF vérifie que le serveur d’envoi est autorisé par le domaine utilisé pour l’expédition technique, lequel peut différer de l’adresse visible.
- DKIM utilise une signature cryptographique associée à un domaine pour vérifier l’intégrité des parties signées du message.
- DMARC exige qu’au moins un contrôle SPF ou DKIM réussisse avec un domaine aligné sur celui du champ « De ». Le propriétaire du domaine peut aussi préciser le traitement souhaité en cas d’échec.
Ces mécanismes, présentés dans les recommandations de l’ANSSI sur la sécurisation des échanges de messagerie, réduisent les possibilités d’usurpation du domaine.
Une authentification réussie ne garantit toutefois pas un contenu fiable. Un fraudeur peut authentifier son propre domaine, utiliser un nom ressemblant à une marque ou envoyer depuis un compte compromis.
Pourquoi certains messages indésirables passent-ils ?
Un spam distribué dans la boîte de réception constitue un faux négatif : le filtre ne l’a pas reconnu comme indésirable.
Les campagnes nouvelles peuvent manquer d’historique. Leurs domaines et leurs liens ne figurent pas encore dans les bases de réputation. D’autres messages utilisent une infrastructure jusque-là fiable, notamment après le piratage d’un compte.
Le contenu peut aussi présenter peu d’indices techniques : quelques lignes demandant un virement, sans pièce jointe ni lien, peuvent ressembler à un échange professionnel banal.
Enfin, les réglages influencent le résultat. Un seuil permissif laisse passer davantage de messages suspects. Une règle d’autorisation trop large peut également permettre à certains courriels d’échapper à une partie des contrôles.
Pourquoi un courriel légitime est-il classé comme spam ?
Le cas inverse est un faux positif. Une lettre d’information sollicitée ou un document professionnel présente suffisamment de caractéristiques suspectes pour être mal classé.
Les causes possibles comprennent une mauvaise réputation du serveur d’envoi, des liens problématiques, une règle locale trop stricte ou une configuration d’authentification incorrecte. Ainsi, un nouvel outil de facturation peut envoyer des courriels sans avoir été correctement intégré aux réglages du domaine.
Les transferts et les listes de diffusion compliquent également les vérifications. Un transfert peut faire échouer SPF ; une modification du message peut invalider DKIM. Le résultat final dépend des autres mécanismes disponibles et de la politique du destinataire.
Une erreur répétée mérite donc d’être examinée : déplacer le message vers la boîte de réception ne corrige pas nécessairement sa cause.
Comment améliorer le classement au quotidien ?
Pour l’utilisateur, les commandes « Signaler comme indésirable » et « Ceci n’est pas un spam » permettent de transmettre un retour explicite à la messagerie. Selon le service, elles peuvent ajuster les préférences personnelles ou alimenter les mécanismes de détection.
Consultez régulièrement le dossier des indésirables et les notifications de quarantaine, surtout lorsqu’un message attendu manque. Avant de récupérer un courriel, vérifiez son adresse d’expédition complète et la cohérence de son contenu.
Pour l’administrateur, l’examen des en-têtes et des journaux aide à identifier le contrôle responsable : authentification, réputation, contenu ou règle particulière. Corriger cette cause permet souvent de conserver une protection efficace sans multiplier les exceptions.
Les ajustements de seuils gagnent à être progressifs, avec un suivi des messages bloqués à tort et des spams encore distribués. Un filtre antispam reste ainsi un dispositif à entretenir, dont les résultats s’améliorent grâce à des réglages adaptés et à des signalements pertinents.